医療機器管理のためのセキュアな機能セット配布インフラストラクチャの提供
セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステムおよび方法を提示する。医療機器と、医療機器に一時的に接続可能な通信機器との間でのデータダウンロードに対して、一意の関連付けがマップされる。構成カタログが保持され、医療機器および通信機器のうちの少なくとも１つの動作特性を含む。構成カタログ内に保持された動作特性は、ダウンロード可能な複数の機能セットを格納するデータベースに対して、定期的にチェックされ、変更された動作特性を含む１つ以上の機能セットは、配布のために識別される。１つ以上の機能セットは、デジタル署名され、１つ以上の機能セットは、複数のネットワークを通じて通信機器に提供される。１つ以上の機能セットが認証され、それらの完全性は、信頼できるソースで始まり通信機器で終わる信頼チェーンを通じてチェックされる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概して医療機器管理に関し、具体的には、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステムおよび方法に関する。
【背景技術】
【０００２】
ペースメーカおよび埋め込み型除細動器（Ｉｍｐｌａｎｔａｂｌｅ Ｃａｒｄｉｏｖｅｒｔｅｒ−ｄｅｆｉｂｒｉｌｌａｔｏｒ：ＩＣＤ）のような、心臓用埋め込み型医療機器（Ｉｍｐｌａｎｔａｂｌｅ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅ：ＩＭＤ）は、概して大胸筋を通じて皮下に埋め込まれる。心臓治療を行い、心肺の生理機能を監視する一連の導線も、頭部および鎖骨下静脈を使用して、局所麻酔下で経静脈的に埋め込まれる。ＩＭＤの電力は、普通は、高エネルギ密度、低内部損失で、長貯蔵寿命であるバッテリによって提供される。例えば、埋め込まれた単腔ペースメーカは、ヨウ化リチウムバッテリを使用し、期待埋め込み寿命は７年〜１２年である。二腔ペースメーカは、リチウム銀酸化バナジウムバッテリを使用し、期待埋め込み寿命は５年〜１０年である。
【０００３】
通常、ＩＭＤは、バッテリ寿命が切れたときに全て交換され、元の埋め込み時期以降に生じ得る、新しい機能や進歩した技術を活用する。ＩＭＤの交換には手術が必要であり、その手術は、傷害、感染、回復時間、および関連する合併症といった付帯リスクを伴う。導線または問題を含むＩＭＤに破損または故障が生じたときなどに、機器を交換しなければならないような状況を限定または排除することによって、外科的リスクを最小限に抑えることができる。
【０００４】
交換する前に、プログラマ型の機器を使用してオンボードのプログラミングソフトウェアまたはファームウェアをアップグレードすることによって、ＩＭＤの動作特性およびプログラミングの暫定的なアップグレードを臨床で行うことができる。この種の更新は、臨床的設定に限定され、医師の存在が必要であり、軽微だが必要なアップグレードを大きな患者集団に行う必要のある場合に問題となり得る。修正は、それぞれのＩＭＤの特定のモデルおよびソフトウェア、またはファームウェアのリビジョンレベルに正確に適合させなければならない。適切なアップグレード性の確保には、損傷を与えるか、または機器を動作不能にする可能性のある変更の導入を回避するために、特別な注意が必要である。
【０００５】
利用可能なときに、臨床ソフトウェアまたはファームウェアのアップグレードは、医師の管理下でのみ行うことができる。プログラマ型の機器は、誘導テレメトリを介したＩＭＤへの問い合わせに使用される。医師と患者との接近によって、承認が示唆され、ＩＭＤへのセキュアな排他的アクセスが仮定される。ソフトウェアまたはファームウェアのアップグレードは、その患者に埋め込まれた機器のみに限定される。埋め込み型または外付け型に関わらず、他の医療機器は、別々に問い合わせおよびアップグレードを行わなければならない。その結果、複数の医療機器管理には、患者単位での機能のアップグレードおよび実行中のメンテナンスのためにそれぞれの医療機器および関連する動作特性を個々に追跡する必要がある。この医療機器管理の負担は、患者集団が大きくなることで増加する。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
したがって、リモートで非外科的なアップグレードをＩＭＤに提供する医療機器管理システムが必要である。このような手法は、患者単位および患者集団単位で、埋め込み型と外付け型の両方の医療機器に使用されるソフトウェアおよびファームウェアに対して、非臨床的かつセキュアで、認証されたアップグレードを提供することが好ましい。このような手法は、インターネットのような公共インフラストラクチャを活用して、最も経済的なソリューションを医療機器管理に提供し、一方で、暗号化技術を使用して、高レベルのセキュリティおよび信頼性を保持することが好ましい。
【課題を解決するための手段】
【０００７】
システムおよび方法は、患者管理機器と、受動的および能動的埋め込み型および外付け型医療機器を含む、患者管理機器に関連する１つ以上の医療機器との間の一意のマッピングの構成カタログを保持する、セキュアな配布サーバを含む。それぞれの関連する患者医療機器に提供されるソフトウェアおよびファームウェアの識別は、患者管理機器によっていずれも定期的にリクエストされるか、またはそれぞれの機器によって患者管理機器に自律的に報告される。一実施形態では、患者管理機器は、定期的に、セキュアな配布サーバから、機器の、および患者管理機器自体のソフトウェアおよびファームウェアに対する更新をリクエストし、セキュアな配布サーバは、あらゆる新しいまたは修正された複数の機能セットを更新パッケージとして提供するが、これらは、信頼できるソースによってすでにデジタル署名されているか、または特定の患者管理機器のためのセキュアな配布サーバによってデジタル署名されている。さらなる一実施態様では、セキュアな配布サーバは、あらゆる新しいまたは修正された機能セットを、当該のセットが利用可能となったときに、患者管理機器に定期的に提供する。患者管理機器は、信頼できるソースを認証し、インストール前にそれぞれの更新パッケージの完全性をチェックする。信頼できるソースによるデジタル署名は、それぞれの患者管理機器での署名確認と組み合わせて、更新パッケージの信頼性および完全性を保証する。これらのプロセスは、信頼チェーンを提供して、新しいまたは修正された機能セットをセキュアに配布する。患者管理機器は、アップグレードまたはインストールが成功したときに、セキュアな配布サーバへ通知を返信する。さらなる実施形態では、患者管理機器ではなく、それぞれの機器は、インストールによって信頼チェーンをその機器自体に拡張する前に、それぞれの更新パッケージの署名確認を行う。それに応じて、ソフトウェアおよびファームウェアに対する小規模および大規模な変更は、臨床患者を訪問させることなく、１つ以上のネットワークを通じてリモート機器に配布することができる。
【０００８】
一実施形態では、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステムおよび方法を提供する。医療機器と、医療機器に一時的に接続可能な通信機器との間でのデータダウンロードに対して、一意の関連付けがマップされる。構成カタログは保持され、医療機器および通信機器のうちの少なくとも１つの動作特性を含む。構成カタログ内に保持された動作特性は、ダウンロード可能な複数の機能セットを格納するデータベースに対して、定期的にチェックされ、変更された動作特性を含む１つ以上の機能セットは、配布のために識別される。１つ以上の機能セットは、デジタル署名され、１つ以上の機能セットは、複数のネットワークを通じて通信機器に提供される。１つ以上の機能セットが認証され、それらの完全性は、信頼できるソースで始まり通信機器で終わる信頼チェーンを通じてチェックされる。
【０００９】
本発明のさらなる実施形態は、以下の詳細な説明から当業者に容易に明らかになり、本発明の実施形態は、本発明を実行を想定した最良の形態を例示することによって記載されている。当然のことながら、本発明は他の異なる実施形態とすることができ、その複数の詳細は、全てが本発明の趣旨および範囲から逸脱することなく、種々の明らかな点において修正することができる。したがって、図面および詳細な説明は、事実上例示的なものであり、制限的なものではないとみなされるべきである。
【発明を実施するための最良の形態】
【００１０】
図１は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステム１０を示す機能ブロック図である。システム１０は、セキュアな配布サーバ１１と、インターネットのような相互接続ネットワーク１２を含む複数のネットワークを通じてリモートに相互接続された患者管理機器１３と、相互接続ネットワーク１５ａおよび１５ｂとを含む。一実施形態では、個々のネットワークは、ファイアウォール１６ａおよび１６ｂ、ゲートウェイ、または類似したセキュリティ機器によって、それぞれの境界でセキュアに保護される。それぞれのファイアウォール１６ａおよび１６ｂは、関連するネットワークを無許可のアクセスおよび侵入から保護する。他のネットワークのトポロジ、構成、および機構も可能である。
【００１１】
セキュアな配布サーバ１１は、図４を参照して以下に詳述するように、ストレージ機器１４に操作可能に接続され、複数のネットワークを通じて患者管理機器１３によってリモートでアクセス可能であり、更新または新しい機能セットをセキュアに配布する。患者管理機器１３は、主に通信機器として機能し、患者通信アプリケーションソフトウェアとして定義された一連のソフトウェアモジュールを実行する。加えて、患者管理機器１３は、医療機器機能を含むこともできる。患者管理機器１３は、ユーザインターフェース手段を含み、この手段は、スピーカ、マイクロホン、ディスプレイ、タッチスクリーンまたはキーパッドのような双方向ユーザインターフェース、「強固な」Ｂｌｕｅｔｏｏｔｈ、ワイヤレスフェデリティ「ＷｉＦｉ」または「ＷｉＭａｘ」、または他の無線周波数インターフェースを含み、外付け型および埋め込み型医療機器が論理的にインターフェースされることを可能にする。一実施形態では、患者管理機器１３は、特に外付け型および埋め込み型医療機器にインターフェースされる、専用のハードウェア機器として実装される。さらなる一実施形態では、患者管理機器１３は、一体的に実装するか、または携帯情報端末、携帯電話、および類似した機器のような、ポータブルコンピューティングデバイスに機能的に接続されたアドオンモジュールとして実装することが可能である。
【００１２】
インターフェース可能な外付け型および埋め込み型医療機器は、埋め込み型医療機器１８、埋め込み型センサ１９、外付け型医療機器２０、または外付け型センサ２１のような能動型治療用または監視機器と、外付け型医療機器２２および外付け型センサ２３のような受動型治療用または監視機器とを含む。これらの治療用および監視機器は、治療を行うか、またはセキュアな配布サーバ１１または類似した機器によって、定量的な生理学的評価指標に処理することができるセンサ読取り値を提供することができる。埋め込み型医療機器１８は、ペースメーカ、埋め込み型除細動器、心臓の再同期機器、薬品供給機器、および神経学的インプラントを含む。埋め込み型センサ１９は、心臓または呼吸モニタ、および姿勢、アクティビティ、または血液の化学的性質のモニタを含む。能動型の外付け型医療機器２０は、自動外付け型細動除去器を含む。能動型の外付け型センサ２１は、ホルターモニタを含む。受動型の外付け型医療機器２２は、ピルディスペンサを含む。最後に、受動型の外付け型センサ２３は、重量計および血圧モニタを含む。能動型および受動型の、他のタイプの埋め込み型医療機器、埋め込み型センサ、外付け型医療機器、および外付け型センサも可能である。
【００１３】
作動的に、セキュアな配布サーバ１１は、患者管理機器１３および１つ以上の関連する医療機器１８〜２３の動作特性の構成カタログを保持する。機器の動作特性は、それぞれの機器から患者管理機器１３によってリクエストされるか、またはそれぞれの機器によって患者管理機器１３に定期的に報告される。構成カタログは、患者管理機器１３と、それぞれの患者１７のためのそれぞれの医療機器との間の一意の関連付けを格納する。一実施形態では、患者管理機器１３は、セキュアな配布サーバによってプログラムコードとして格納された、更新または新しい機能セットを定期的にチェックし、次いで、患者管理機器は、セキュアなパッケージとして、あらゆる修正された、または新しいファームウェアまたはソフトウェアを、セキュアにダウンロードすなわち「プル」する（「更新」と称する）。それぞれのセキュアなパッケージは、デジタル署名される形態で、すなわち別の信頼できるソースによって署名されてセキュアな配布サーバに格納されるか、または特定の患者管理機器のためにセキュアな配布サーバによってデジタル署名されることができる。さらなる一実施形態では、セキュアな配布サーバ１１は、あらゆる修正された、または新しいファームウェアまたはソフトウェアのためのプログラムコードを、当該の更新が利用可能となったときに、オンデマンドまたはインクリメンタルに、患者管理機器１３に送信すなわち「プッシュ」するか、またはその更新を、患者管理機器のような特定のクラスの機器に一方的にブロードキャストすることによって送信する。オンデマンドの更新は、セキュアな配布サーバ１１か、または相互接続ネットワーク１２上の認証されたクライアントまたは類似した機器を経て開始することができる。それぞれの更新パッケージ認証し、その完全性をチェックすると、患者管理機器１３は、その更新されたかまたは新しい機能セットを適切な医療機器にインストールし、インストールに成功すると、セキュアな配布サーバ１１に通知する。さらなる一実施形態では、患者管理機器１３ではなく、医療機器のうちの１つ以上は、インストール前に、それぞれの更新パッケージを認証し、その完全性をチェックする。加えて、セキュアな配布サーバ１１または類似した機器は、患者管理機器１３から格納データを定期的に抽出するが、このデータは１つ以上の関連する医療機器から事前に収集されたものである。以下、医療機器マッピング構成カタログおよび更新パッケージについて説明する。
【００１４】
図２は、一例として、医療機器マッピングを格納するための構成カタログ４０を示すデータ構造図である。構成カタログ４０は、２つの目的を果たす。その１つは、構成カタログ４０は、患者管理機器１３と、ＩＭＤ１８のような特定の医療機器との間の一意の関連付けをマップすることである。もう１つは、構成カタログ４０は、患者管理機器１３と、それぞれの関連する医療機器の両方の動作特性を記録することである。例えば、エントリは、タイプ４１、モデル４２、製造番号４３、およびソフトウェアのリビジョンレベル４４によって医療機器を識別することができる。同様に、同じエントリまたは別個のリンクされたエントリ（図示せず）は、患者管理機器のタイプ４５と、モデル４６と、製造番号４７と、ソフトウェアのリビジョンレベル４８とを含むことができる。他のタイプの構成カタログ、ならびにレコード構造および機構も可能である。
【００１５】
構成カタログ４０内に記録された動作特性は、それぞれの機器および患者管理機器１３のメーカーによって最初に提供することができる。次に、一実施形態では、患者管理機器１３は、それぞれの機器を定期的にポーリングして、現在の動作特性およびそれらの動作特性を判断し、さらに、患者管理機器１３の動作特性がセキュアな配布サーバ１１に報告されて、構成カタログ４０を更新する。さらなる一実施形態では、機器は、それらの動作特性を患者管理機器１３に定期的に報告し、次いで、構成カタログの更新のために、セキュアな配布サーバ１１に報告される。他の形態の構成カタログの更新も可能である。
【００１６】
図３は、一例として、更新された機能セットを提供するための更新パッケージ６０を示すデータ構造図である。更新パッケージ６０は、セキュアな配布サーバ１１によって発生され、患者管理機器または１つ以上の関連する医療機器のための、修正された、または新しい機能セットがセキュアに配布される。さらなる一実施形態では、更新パッケージ６０は、全く分割不可能なセットとしてインストールされるか、または全くインストールされない機能のための、「アトミック」パッチを含むことができる。一実施形態では、それぞれの更新パッケージ６０は、更新リクエストに応えて、患者管理機器１３に提供される。さらなる一実施形態では、それぞれの更新パッケージ６０は、更新された機能が利用可能となったときに、オンデマンドまたはインクリメンタルに、患者管理機器１３に提供されるか、または更新された機能を、患者管理機器のような特定のクラスの機器に一方的にブロードキャストすることによって提供される。他の形態のセキュアな更新パッケージの配布も可能である。
【００１７】
それぞれの更新パッケージ６０は、機器タイプ６１およびモデル６２のような、更新コード６５を適用する機器を識別するヘッダを含む。加えて、ヘッダは、更新前のソフトウェアのリビジョンレベル６３および更新後のソフトウェアのリビジョンレベル６４を識別し、これらは、それぞれ、適用すべき更新のソフトウェアのリビジョンレベルと、更新がインストールされた後に機器がなるソフトウェアのリビジョンレベルを識別する。さらなる一実施形態では、更新前ソフトウェアのリビジョンレベル６３は、ある範囲の更新前のパッチのリビジョンレベルか、または単一の更新前のパッチリビジョンレベルだけを特定し得る。更新パッケージ６０は、デジタル署名された「エンベロープ」（図示せず）、またはセキュアな配布サーバ１１によって確立されたパッケージ内にカプセル化される。更新パッケージ６０は、メーカーのような信頼できるソースによって予めデジタル署名するか、または特定の患者管理機器のために、セキュアな配布サーバによってデジタル署名することができる。一実施形態では、更新パッケージの認証は、公開／秘密鍵ペアベースのデジタル署名のような、非対称暗号化の形態で提供されるが、他のタイプの認証および暗号化も可能である。
【００１８】
図４は、図１のセキュアな配布サーバ１１を示すブロック図である。セキュアな配布サーバ１１は、修正された新たな機能セット７７を、患者管理機器および関連する医療機器にセキュアに配布するための中心部として機能する。セキュアな配布サーバ１１は、セキュアな配布サーバソフトウェアとして定義された、一連のソフトウェアモジュールを実行する。セキュアな配布サーバ１１は、構成カタログ７６とともに、セキュアなストレージ機器７５を介して機能セット７７にアクセスする。この構成カタログは、患者管理機器１３と、特定の患者１７のための、おそらくは複数の医療機器のうちの１つとの間の一意の関連付けをマップする。
【００１９】
セキュアな配布サーバ１１は、リモートにある患者管理機器１３から受信した更新リクエスト８２を処理する更新チェッカおよびベリファイア７１とを含む。さらなる一実施形態では、更新チェッカおよびベリファイア７１は、患者管理機器から、およびさらなる一実施形態では機器から、受信した構成カタログの更新８１を処理して、動作特定を記録する構成カタログ７６を更新する。さらなる一実施形態では、更新チェッカおよびベリファイア７１は、患者管理機器および機器から、構成カタログの更新８１を定期的にリクエストする。同様に、更新リクエスト８２は、医療機器から直接発生させることができる。更新チェッカおよびベリファイア７１は、構成カタログ７６にアクセスして、それぞれの格納された機器構成に対して、修正された、または新しいあらゆる機能セット７７を識別する。セキュアな配布サーバ１１は、認証７２も含むが、認証７２は、あらゆる修正された、または新しい機能セット７７を、セキュアな配布サーバ１１に対して一意の、格納された非対称の秘密鍵７４を使用して、デジタル署名されたパッケージにパッケージ化する。それぞれのパッケージは、信頼できるソースによってすでにデジタル署名されているか、または特定の患者管理機器１３のための非対称秘密鍵７４および非対称公開鍵を使用して、セキュアな配布サーバによってデジタル署名することができる。デジタル署名された機能セットは、次いで、更新パッケージ８４として、リクエスト側の患者管理機器１３に、または、さらなる一実施形態ではリクエスト側の機器に送信される。さらなる一実施形態では、デジタル署名された機能セットは、修正された、または新しい機能セット７７が利用可能になったときに、患者管理機器１３に、またはさらなる一実施形態では機器に、更新パッケージ８４として送信されるか、または、更新された機能を、患者管理機器のような特定のクラスの機器に一方的にブロードキャストすることによって送信する。加えて、更新チェッカおよびベリファイア７１は、リクエスト側の患者管理機器１３から機能セット７７のインストールが成功したことを確認する通知８０を受信し、構成カタログ７６を更新する。更新チェッカおよびベリファイア７１によって行われる動作、および認証７２は、図１０を参照して以下に詳述する。
【００２０】
さらなる一実施形態では、セキュアな配布サーバ１１は、データの抽出、分析、および格納７３も含む。セキュアな配布サーバは、定期的に、データリクエスト８５を１つ以上の患者管理機器１３にセキュアに送信して、患者管理機器が収集したか、または１つ以上の関連付けられた医療機器からの、格納されたデータのデータセット８３のアップロードをリクエストする。データセット８３は、一例として、ペースメーカ、ＩＣＤまたは類似した機器のような埋め込み型医療機器、または心電計、ホルターモニタ、または類似した機器のような外付け型医療機器とともに、あるいは従来の医学的な試験および評価を通じて、収集および処理された個々の患者の生理学的な定量的評価指標、および生活の質の定性的評価指標を含むことができる。また、データセット８３は、１つ以上の病状を分析することができ、関連する文献、共有に係るＢａｒｄｙに対する米国特許第６，３３６，９０３号（２００２年１月８日発行）、Ｂａｒｄｙに対する米国特許第６，３６８，２８４号（２００２年４月９日発行）、Ｂａｒｄｙに対する米国特許第６，３９８，７２８号（２００２年６月２日発行）、Ｂａｒｄｙに対する米国特許第６，４１１，８４０号（２００２年６月２５日発行）、およびＢａｒｄｙに対する米国特許第６，４４０，０６６号（２００２年８月２７日発行）などに記載されており、それらの開示は参照することにより組み込まれる。最後に、データセットは、抽出された機器データ７９として、データベース７８内に格納することができる。データベース７８は、セキュアな配布サーバ１１に直接接続する必要は無く、代わりに、例えば、集中データベースサーバ（図示せず）を介してリモートでアクセスすることができる。
【００２１】
一実施形態では、セキュアな配布サーバ１１は、汎用のサーバグレードのコンピュータであり、セキュアな配布サーバソフトウェアとして定義された一連のソフトウェアモジュールを実行し、例えば、中央処理ユニット（ＣＰＵ）、メモリ、ディスクストレージ、ネットワークインターフェース、ディスプレイ、ＣＤ−ＲＯＭ、キーボード、マウス、およびこれらの要素を相互接続するための種々の構成要素などの、普通にコンピュータで見られる構成要素を有する。
【００２２】
図５Ａおよび図５Ｂは、図１のシステム１０によるエンドツーエンドのセキュアなパッケージ処理１００および１２０を示すルーティング図である。エンドツーエンドの処理には、セキュアな配布サーバおよびリクエスト側の患者管理機器を伴い、これらは、更新パッケージがこれらを通じてセキュアに配信される、ネットワークインフラストラクチャのエンドポイントである。移行の間に、更新パッケージは、「セキュアなデジタルコンテナ」すなわち、更新のソースまたはセキュアな配信サーバのデジタル署名を受けて発生されたパッケージにカプセル化される。
【００２３】
まず図５Ａを参照すると、更新ソース１０２は、更新パッケージ１０１を作成およびデジタル署名し、このパッケージは、署名済み更新１０３としてセキュアな配布サーバ１０４に送信される。セキュアな配布サーバソース１０４は、署名済み更新１０３を格納する前に、受信した署名済み更新１０３を認証し、その完全性をチェックする。リクエストされたときには、セキュアな配布サーバ１０４は、署名済み更新１０３をリクエスト側の患者管理機器１０５に送信し、この機器も同様に、更新１０１を格納またはインストールする前に、受信した署名済み更新１０３を認証し、その完全性をチェックする。さらなる一実施形態では、患者管理機器１０５は、署名済み更新１０３をＩＭＤ１０６に送信し、このＩＭＤも同様に、更新１０１をインストールする前に、受信した署名済み更新１０３を認証し、その完全性をチェックする。
【００２４】
次に図５Ｂを参照すると、更新ソース１２２は、更新パッケージ１２１を作成およびデジタル署名し、このパッケージは、署名済み更新１２３としてセキュアな配布サーバ１２４に送信される。セキュアな配布サーバソース１２４は、署名済み更新１２３を格納する前に、受信した署名済み更新１２３を認証し、その完全性をチェックする。また、セキュアな配布サーバ１２４は、データ１２５を署名済み更新１２３に追加し、組み合わせパッケージ１２６全体をデジタル署名する。リクエストされたときには、セキュアな配布サーバ１２４は、署名済み組み合わせパッケージ１２６をリクエスト側の患者管理機器１２７に送信し、この機器も同様に、更新１２１およびデータ１２５を格納またはインストールする前に、受信した署名済み組み合わせパッケージ１２６を認証し、その完全性をチェックする。さらなる一実施形態では、患者管理機器１２７は、署名済み組み合わせパッケージ１２６をＩＭＤ１２８に送信し、このＩＭＤも同様に、更新１２１およびデータ１２５をインストールする前に、受信した組み合わせパッケージ１２６を認証し、その完全性をチェックする。他の形態のエンドツーエンドのセキュアなパッケージ処理も可能である。
【００２５】
図６は、図１のシステム１０によって行われる構成カタログ更新のダイアログ１５０を示すプロセスフロー図である。一実施形態では、更新カタログの更新ダイアログは、それぞれの患者管理機器１３によって開始され、定期的に１つ以上の関連する医療機器に接続して（動作１５１）、動作特性のたな卸しを行う（ブロック１５２）。動作特性は、次いでセキュアな配布サーバ１１に提供され、構成カタログ７６を更新する（ブロック１５３）。次の定期的な構成カタログの更新時に、再び処理を継続する（動作１５１）。さらなる一実施形態では、それぞれの関連する医療機器は、定期的に患者管理機器に接続し（動作１５１）、類似した一連の動作に続いて、動作特性のたな卸しを行い、構成カタログを更新する。
【００２６】
図７は、図１のシステム１０によって行われるアップロードのダイアログ１６０を示すプロセスフロー図である。一実施形態では、それぞれの患者管理機器１３は、機器のうちの１つ以上に定期的に接続し（動作１６１）、医療機器によって収集されたあらゆる格納データを抽出する（動作１６２）ことによって、１つ以上の関連する医療機器のための集中ハブとして機能する。抽出されたデータは、次いで、分析および格納のために、セキュアな配布サーバ１１または類似した機器に送信される（動作１６３）。このプロセスは、患者管理機器１３による次の定期的な接続時に継続する（動作１６１）。
【００２７】
図８は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのサーバ方法１７０を示す工程図である。本方法の目的は、患者管理機器１３から継続的に受信される更新リクエストを、セキュアな配布サーバ１１において処理することである。さらなる一実施形態では、方法１７０は、患者管理機器１３によって格納されたデータの定期的な抽出も行う。
【００２８】
最初に、暗号鍵が発生される（ブロック１７１）。暗号鍵は、サーバが最初に構成されたときに一度だけ発生される。システムによっては、暗号鍵は、セキュアな配布サーバ１１によって発生させるか、または製造プロセスの一部としてインストールすることができる。いずれの場合も、暗号鍵はセキュアな配布サーバ１１によって永続的に格納され、その後、その暗号鍵を使用して、更新パッケージをデジタル署名し、および、例えば患者管理機器とのセキュアな接続を確立する。セキュアな接続とは、それを通じて、破損させずに、あらゆるサードパーティによりデータのコンテンツを見られることがなく、またデータの送信側または受信側が常に既知であり認証されていることを保証して、データを交換することができる通信経路である。
【００２９】
それぞれの患者管理機器１３および関連する医療機器の最初の機器構成は、構成カタログ７６内に記録される（ブロック１７２）。更新リクエストおよび、さらなる一実施形態では、データ抽出は、次のように連続的に処理される（ブロック１７３〜１７８）。さらなる一実施形態では、図９を参照して以下に詳述するように、格納データは、それぞれの患者管理機器１３から定期的に抽出される（ブロック１７４）。同様に、図１０を参照して以下に詳述するように、患者管理機器１３から受信した更新リクエストが処理される（ブロック１７５）。さらなる実施形態では、それぞれの患者管理機器１３および関連する医療機器の動作特性の更新は、構成カタログの更新リクエストに応えて、または患者管理機器または機器から自然発生した構成カタログの更新に基づいて、セキュアな配布サーバ１１に提供されるときに、構成カタログ７６内に記録される（ブロック１７６）。セキュアな配布サーバ１１は、能動的にデータを抽出しないか、または更新リクエストを処理しないときは、待機モードを継続する（ブロック１７７）か、または他の処理を行う。セキュアな配布サーバ１１が動作を終了するまで処理は継続される（ブロック１７８）。
【００３０】
図９は、図８の方法１７０で使用する定期的にデータを取り出すためのルーチン１９０を示す工程図である。さらなる一実施形態では、セキュアな配布サーバ１１または類似した機器は、それぞれの患者管理機器１３によって収集および格納されたデータを定期的に抽出し、抽出したデータを分析してデータベースに格納する。この定期的なデータ抽出方法は、サーバまたは患者管理機器によって開始することが可能である。
【００３１】
サーバおよび患者管理機器は、セキュアな暗号方法を使用して、ネットワークを通じて互いに接続して互いに認証し（ブロック１９１）、共通の暗号接続鍵を確立し（ブロック１９２）、暗号によって保護されたセキュアな接続を確立する（ブロック１９３）。サーバまたは患者管理機器がデータの交換を必要とするたびに、接続は「セッション」を確立する。単一の接続が確立され、セッション期間中は開いたままとなる。患者管理機器１３によって格納されるあらゆるデータは、サーバによって抽出され、データの完全性がチェックされ、データの移行中に変更が生じなかったことを保証する（ブロック１９４）。データは、データベースに格納され（ブロック１９５）、サーバは、そのデータを削除するように患者管理機器１３に命令する（ブロック１９６）。次いで、図８を参照して上述したように、セキュアな接続が閉じられ（ブロック１９７）、抽出されたデータは、セキュアな配布サーバ１１によってさらに処理する（ブロック１９８）ことができる。
【００３２】
図１０は、図８の方法１７０（ブロック１７５）で使用する更新リクエストを処理するためのルーチン２１０を示す工程図である。このルーチンの目的は、それぞれの患者管理機器１３から受信した更新リクエストを処理することである。
【００３３】
リクエスト側の患者管理機器１３とのセキュアな接続が確立され（ブロック２１１）、更新リクエスト８２が受信される（ブロック２１２）。サーバまたは患者管理機器がデータの交換を必要とするたびに、接続は「セッション」を確立する。単一の接続が確立され、セッション期間中は開いたままとなる。さらなる一実施形態では、データの秘匿性に懸念がなければ、非セキュアな接続を使用することが可能である。構成レポートは、リクエスト側の患者管理機器１３から受信され（ブロック２１３）、構成カタログは、更新のためにチェックされる（ブロック２１４）。ソフトウェアまたはファームウェアのいずれかのプログラムコードが更新されていた場合（ブロック２１４）は、更新パッケージが作成され（ブロック２１５）、セキュアな配布サーバ１１（図４に示す）のデジタル署名７４を使用して、リクエスト側の患者管理機器１３のためにデジタル署名される（ブロック２１６）。さらなる一実施形態では、更新パッケージはすでにデジタル署名され、セキュアな配布サーバ１１は、ストレージ１４から更新パッケージを抽出するだけである。さらなる実施形態では、セキュアな配布サーバ１１は、当該の更新が利用可能となったときに、オンデマンドまたはインクリメンタルに、あらゆる修正された、または新しいファームウェアまたはソフトウェアを、患者管理機器１３に提供するか、またはその更新を、患者管理機器のような特定のクラスの機器に一方的にブロードキャストすることによって提供する。デジタル署名されたパッケージは、リクエスト側の患者管理機器１３に送信されるか、または、さらなる一実施形態では、医療機器のうちの１つ以上に送信され（ブロック２１７）、セキュアな配布サーバ１１は、インストール成功の通知の受信を待つ（ブロック２１８）。成功した場合（ブロック２１９）、構成カタログ７６内の機器構成が更新される（ブロック２２０）。次いで、セキュアな接続が閉じられる（ブロック２２１）。
【００３４】
患者管理機器１３とセキュアな配布サーバ１１との間に影響を及ぼす不具合状態が無い場合は、新しいまたは修正された機能セットおよび確認通知が、信頼性が高いとされる接続を通じて通信される。しかしながら、データの破損または喪失のようなエラー状態は、相互接続ネットワーク１２によって実装されたより下層のネットワークプロトコルによるエラーの検出および補正に加えて、またはその代わりに、エラーの検出および補正機能を相互接続ネットワーク１２に導入することによって処理することができる。例えば、一実施形態では、相互接続ネットワーク１２は、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）のネットワーク通信仕様に基づいており、信頼性の高いメッセージの移送を保証する。他のネットワークの実装も可能である。例えば、ユーザデータグラムプロトコル（ＵＤＰ）をＴＣＰの変わりに用いることが可能であり、保証されたデータ配信を犠牲にして、代わりに上位のプロトコル層に依存して、必要なエラーの検出および補正を提供する。同様に、他のネットワークトポロジおよび機構も可能である。
【００３５】
図１１は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するための方法２３０を示す工程図である。患者管理機器の方法の目的は、それぞれの関連する医療機器、および患者管理機器自体にインストールされたソフトウェアおよびファームウェアのためのプログラムコードを更新することである。さらなる一実施形態では、それぞれの患者管理機器１３は、セキュアな配布サーバ１１または類似した機器による、後の抽出のために、関連する医療機器のそれぞれからデータを収集し、格納する。
【００３６】
ソフトウェアおよびファームウェアのためのプログラムコードは、定期的にアップデートされ、さらなる一実施形態では、以下のように、連続する処理ループ（ブロック２３１〜２３４）で送信されたデータが格納される。ファームウェアおよびソフトウェアのためのプログラムコードは、図１２を参照して以下に詳述するように、定期的にアップデートされる（ブロック２３２）。さらなる一実施形態では、図１３を参照して以下に詳述するように、それぞれの関連する医療機器から収集および格納されたデータは、セキュアな配布サーバ１１または類似した機器に送信される（ブロック２３３）。
【００３７】
図１２は、図１１の方法２３０で使用する定期的な更新を行うためのルーチン２５０を示す工程図である。このルーチンの目的は、それぞれの関連する医療機器の、およびリクエストする患者管理機器１３自体のファームウェアおよびソフトウェアのためのプログラムコードの更新を、定期的にリクエストし、インストールすることである。
【００３８】
セキュアな配布サーバ１１とのセキュアな接続が確立される（ブロック２５１）。サーバまたは患者管理機器がデータの交換を必要とするたびに、接続は「セッション」を確立する。単一の接続が確立され、セッション期間中は開いたままとなる。更新リクエスト８２は、セキュアな配布サーバ１１に定期的に送信される（ブロック２５２）。関連する医療機器およびリクエストする患者管理機器１３のそれぞれの構成レポートが作成され（ブロック２５３）、セキュアな接続を通じてセキュアな配布サーバ１１に送信される（ブロック２５４）。更新パッケージ８４を受信した場合（ブロック２５５）は、パッケージが認証される（ブロック２５６）。別に、更新パッケージを受信しなかった場合（ブロック２５５）は、セキュアな配布サーバ１１とのセキュアな接続が閉じられる（ブロック２６６）。認証が成功した場合（ブロック２５７）は、パッケージの完全性がチェックされる（ブロック２５８）。別に、認証に失敗した場合（ブロック２５７）は、セキュアな配布サーバ１１とのセキュアな接続が閉じられる（ブロック２６６）。完全性が正常であった場合（ブロック２５９）は、パッケージ内に含まれるそれぞれの更新がインストールされる（ブロック２６０）。別に、完全性に異常があった場合（ブロック２５９）は、サーバは、更新リクエストをリトライするように通知される（ブロック２６１）。インストールに成功した場合（ブロック２６２）は、セキュアな配布サーバ１１にその旨が通知され（ブロック２６３）、ソフトウェアまたはファームウェアの交換されたプログラムコードが削除される（ブロック２６４）。別に、インストールに失敗した場合（ブロック２６２）は、サーバには失敗したことが通知される（ブロック２６５）。最後に、セキュアな配布サーバ１１とのセキュアな接続が閉じられる（ブロック２６６）。さらなる一実施形態では、患者管理機器１３ではなく、医療機器のうちの１つ以上は、セキュアな配布サーバ１１とのセキュアな接続を確立し、更新パッケージ８４の受信、認証、その完全性のチェック、およびインストールを行う。さらなる一実施形態では、パッケージ８４は、セキュアな配布サーバ１１から一方的にブロードキャストして、患者管理機器のような特定のクラスの機器を更新することができ、当該のそれぞれの更新は、自動的に、または次の適切な機会にインストールされる。
【００３９】
さらなる実施形態では、患者管理機器は、所定のクラスの機器のための更新を受信および格納することができ、患者管理機器は、以降の転送のために機器と通信し、その後機器がその更新を適用する。
【００４０】
図１３は、図１１の方法２３０で使用する格納データを送信するためのルーチン２７０を示す工程図である。さらなる一実施形態では、このルーチンの目的は、セキュアな配布サーバ１１または類似した機器による後での抽出のために、それぞれの関連する医療機器からデータを収集し、一時的に格納することである。
【００４１】
最初に、それぞれの機器は、次のような処理ループにおいてポーリングされる（ブロック２７１〜２７５）。セキュアな接続は、それぞれの医療機器と定期的に確立される（ブロック２７２）。最後のセキュアな接続以降に格納されたあらゆるデータが抽出され（ブロック２７３）、セキュアな接続が閉じられる（ブロック２７４）。定期的に、セキュアな配布サーバ１１または類似した機器は、患者管理機器１３とのセキュアな接続を確立する（ブロック２７６）。サーバまたは患者管理機器がデータの交換を必要とするたびに、接続は「セッション」を確立する。単一の接続が確立され、セッション期間中は開いたままとなる。患者管理機器１３は、セキュアな配布サーバ１１または類似した機器から抽出リクエストを受信し（ブロック２７６）、抽出されたデータが送信される（ブロック２７８）。最後に、セキュアな配布サーバ１１または類似した機器とのセキュアな接続が閉じられる（ブロック２７９）。
【００４２】
さらなる実施形態では、機器のうちの１つ以上は、一時的に格納されたデータの患者管理機器１３、セキュアな配布サーバ１１、または類似した機器へのアップロードを開始する。機器は、所定のスケジュールに従ってアップロードを開始するか、または受信システムによるポーリングを用いることが可能である。他の形態のデータのアップロードおよび交換も可能であり、プッシュ、プル、およびスケジュールされたデータ交換が含まれる。
【００４３】
本発明は、その好適な実施態様を参照して図と共に記載されているが、本発明の精神と範囲から逸脱することなく、形状および細部における様々な変更が可能であることは、当業者によって理解されよう。
【図面の簡単な説明】
【００４４】
【図１】図１は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステムを示す機能ブロック図である。
【図２】図２は、一例として、医療機器マッピングを格納するための構成カタログを示すデータ構造図である。
【図３】図３は、一例として、更新された機能セットを提供するための更新パッケージを示すデータ構造図である。
【図４】図４は、図１のセキュアな配布サーバを示すブロック図である。
【図５Ａ】図５Ａは、図１のシステムによるエンドツーエンドのセキュアなパッケージ処理を示すルーティング図である。
【図５Ｂ】図５Ｂは、図１のシステムによるエンドツーエンドのセキュアなパッケージ処理を示すルーティング図である。
【図６】図６は、図１のシステムによって行われる構成カタログ更新のダイアログを示すプロセスフロー図である。
【図７】図７は、図１のシステムによって行われるアップロードのダイアログを示すプロセスフロー図である。
【図８】図８は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのサーバ方法を示す工程図である。
【図９】図９は、図７の方法で使用する定期的にデータを取り出すためのルーチンを示す工程図である。
【図１０−１】図１０は、図７の方法で使用する更新リクエストを処理するためのルーチンを示す工程図である。
【図１０−２】図１０は、図７の方法で使用する更新リクエストを処理するためのルーチンを示す工程図である。
【図１１】図１１は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するための方法を示す工程図である。
【図１２−１】図１２は、図１１の方法で使用する定期的な更新を行うためのルーチンを示す工程図である。
【図１２−２】図１２は、図１１の方法で使用する定期的な更新を行うためのルーチンを示す工程図である。
【図１３】図１３は、図１１の方法で使用する格納データを送信するためのルーチンを示す工程図である。
【技術分野】
【０００１】
本発明は、概して医療機器管理に関し、具体的には、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステムおよび方法に関する。
【背景技術】
【０００２】
ペースメーカおよび埋め込み型除細動器（Ｉｍｐｌａｎｔａｂｌｅ Ｃａｒｄｉｏｖｅｒｔｅｒ−ｄｅｆｉｂｒｉｌｌａｔｏｒ：ＩＣＤ）のような、心臓用埋め込み型医療機器（Ｉｍｐｌａｎｔａｂｌｅ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅ：ＩＭＤ）は、概して大胸筋を通じて皮下に埋め込まれる。心臓治療を行い、心肺の生理機能を監視する一連の導線も、頭部および鎖骨下静脈を使用して、局所麻酔下で経静脈的に埋め込まれる。ＩＭＤの電力は、普通は、高エネルギ密度、低内部損失で、長貯蔵寿命であるバッテリによって提供される。例えば、埋め込まれた単腔ペースメーカは、ヨウ化リチウムバッテリを使用し、期待埋め込み寿命は７年〜１２年である。二腔ペースメーカは、リチウム銀酸化バナジウムバッテリを使用し、期待埋め込み寿命は５年〜１０年である。
【０００３】
通常、ＩＭＤは、バッテリ寿命が切れたときに全て交換され、元の埋め込み時期以降に生じ得る、新しい機能や進歩した技術を活用する。ＩＭＤの交換には手術が必要であり、その手術は、傷害、感染、回復時間、および関連する合併症といった付帯リスクを伴う。導線または問題を含むＩＭＤに破損または故障が生じたときなどに、機器を交換しなければならないような状況を限定または排除することによって、外科的リスクを最小限に抑えることができる。
【０００４】
交換する前に、プログラマ型の機器を使用してオンボードのプログラミングソフトウェアまたはファームウェアをアップグレードすることによって、ＩＭＤの動作特性およびプログラミングの暫定的なアップグレードを臨床で行うことができる。この種の更新は、臨床的設定に限定され、医師の存在が必要であり、軽微だが必要なアップグレードを大きな患者集団に行う必要のある場合に問題となり得る。修正は、それぞれのＩＭＤの特定のモデルおよびソフトウェア、またはファームウェアのリビジョンレベルに正確に適合させなければならない。適切なアップグレード性の確保には、損傷を与えるか、または機器を動作不能にする可能性のある変更の導入を回避するために、特別な注意が必要である。
【０００５】
利用可能なときに、臨床ソフトウェアまたはファームウェアのアップグレードは、医師の管理下でのみ行うことができる。プログラマ型の機器は、誘導テレメトリを介したＩＭＤへの問い合わせに使用される。医師と患者との接近によって、承認が示唆され、ＩＭＤへのセキュアな排他的アクセスが仮定される。ソフトウェアまたはファームウェアのアップグレードは、その患者に埋め込まれた機器のみに限定される。埋め込み型または外付け型に関わらず、他の医療機器は、別々に問い合わせおよびアップグレードを行わなければならない。その結果、複数の医療機器管理には、患者単位での機能のアップグレードおよび実行中のメンテナンスのためにそれぞれの医療機器および関連する動作特性を個々に追跡する必要がある。この医療機器管理の負担は、患者集団が大きくなることで増加する。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
したがって、リモートで非外科的なアップグレードをＩＭＤに提供する医療機器管理システムが必要である。このような手法は、患者単位および患者集団単位で、埋め込み型と外付け型の両方の医療機器に使用されるソフトウェアおよびファームウェアに対して、非臨床的かつセキュアで、認証されたアップグレードを提供することが好ましい。このような手法は、インターネットのような公共インフラストラクチャを活用して、最も経済的なソリューションを医療機器管理に提供し、一方で、暗号化技術を使用して、高レベルのセキュリティおよび信頼性を保持することが好ましい。
【課題を解決するための手段】
【０００７】
システムおよび方法は、患者管理機器と、受動的および能動的埋め込み型および外付け型医療機器を含む、患者管理機器に関連する１つ以上の医療機器との間の一意のマッピングの構成カタログを保持する、セキュアな配布サーバを含む。それぞれの関連する患者医療機器に提供されるソフトウェアおよびファームウェアの識別は、患者管理機器によっていずれも定期的にリクエストされるか、またはそれぞれの機器によって患者管理機器に自律的に報告される。一実施形態では、患者管理機器は、定期的に、セキュアな配布サーバから、機器の、および患者管理機器自体のソフトウェアおよびファームウェアに対する更新をリクエストし、セキュアな配布サーバは、あらゆる新しいまたは修正された複数の機能セットを更新パッケージとして提供するが、これらは、信頼できるソースによってすでにデジタル署名されているか、または特定の患者管理機器のためのセキュアな配布サーバによってデジタル署名されている。さらなる一実施態様では、セキュアな配布サーバは、あらゆる新しいまたは修正された機能セットを、当該のセットが利用可能となったときに、患者管理機器に定期的に提供する。患者管理機器は、信頼できるソースを認証し、インストール前にそれぞれの更新パッケージの完全性をチェックする。信頼できるソースによるデジタル署名は、それぞれの患者管理機器での署名確認と組み合わせて、更新パッケージの信頼性および完全性を保証する。これらのプロセスは、信頼チェーンを提供して、新しいまたは修正された機能セットをセキュアに配布する。患者管理機器は、アップグレードまたはインストールが成功したときに、セキュアな配布サーバへ通知を返信する。さらなる実施形態では、患者管理機器ではなく、それぞれの機器は、インストールによって信頼チェーンをその機器自体に拡張する前に、それぞれの更新パッケージの署名確認を行う。それに応じて、ソフトウェアおよびファームウェアに対する小規模および大規模な変更は、臨床患者を訪問させることなく、１つ以上のネットワークを通じてリモート機器に配布することができる。
【０００８】
一実施形態では、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステムおよび方法を提供する。医療機器と、医療機器に一時的に接続可能な通信機器との間でのデータダウンロードに対して、一意の関連付けがマップされる。構成カタログは保持され、医療機器および通信機器のうちの少なくとも１つの動作特性を含む。構成カタログ内に保持された動作特性は、ダウンロード可能な複数の機能セットを格納するデータベースに対して、定期的にチェックされ、変更された動作特性を含む１つ以上の機能セットは、配布のために識別される。１つ以上の機能セットは、デジタル署名され、１つ以上の機能セットは、複数のネットワークを通じて通信機器に提供される。１つ以上の機能セットが認証され、それらの完全性は、信頼できるソースで始まり通信機器で終わる信頼チェーンを通じてチェックされる。
【０００９】
本発明のさらなる実施形態は、以下の詳細な説明から当業者に容易に明らかになり、本発明の実施形態は、本発明を実行を想定した最良の形態を例示することによって記載されている。当然のことながら、本発明は他の異なる実施形態とすることができ、その複数の詳細は、全てが本発明の趣旨および範囲から逸脱することなく、種々の明らかな点において修正することができる。したがって、図面および詳細な説明は、事実上例示的なものであり、制限的なものではないとみなされるべきである。
【発明を実施するための最良の形態】
【００１０】
図１は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステム１０を示す機能ブロック図である。システム１０は、セキュアな配布サーバ１１と、インターネットのような相互接続ネットワーク１２を含む複数のネットワークを通じてリモートに相互接続された患者管理機器１３と、相互接続ネットワーク１５ａおよび１５ｂとを含む。一実施形態では、個々のネットワークは、ファイアウォール１６ａおよび１６ｂ、ゲートウェイ、または類似したセキュリティ機器によって、それぞれの境界でセキュアに保護される。それぞれのファイアウォール１６ａおよび１６ｂは、関連するネットワークを無許可のアクセスおよび侵入から保護する。他のネットワークのトポロジ、構成、および機構も可能である。
【００１１】
セキュアな配布サーバ１１は、図４を参照して以下に詳述するように、ストレージ機器１４に操作可能に接続され、複数のネットワークを通じて患者管理機器１３によってリモートでアクセス可能であり、更新または新しい機能セットをセキュアに配布する。患者管理機器１３は、主に通信機器として機能し、患者通信アプリケーションソフトウェアとして定義された一連のソフトウェアモジュールを実行する。加えて、患者管理機器１３は、医療機器機能を含むこともできる。患者管理機器１３は、ユーザインターフェース手段を含み、この手段は、スピーカ、マイクロホン、ディスプレイ、タッチスクリーンまたはキーパッドのような双方向ユーザインターフェース、「強固な」Ｂｌｕｅｔｏｏｔｈ、ワイヤレスフェデリティ「ＷｉＦｉ」または「ＷｉＭａｘ」、または他の無線周波数インターフェースを含み、外付け型および埋め込み型医療機器が論理的にインターフェースされることを可能にする。一実施形態では、患者管理機器１３は、特に外付け型および埋め込み型医療機器にインターフェースされる、専用のハードウェア機器として実装される。さらなる一実施形態では、患者管理機器１３は、一体的に実装するか、または携帯情報端末、携帯電話、および類似した機器のような、ポータブルコンピューティングデバイスに機能的に接続されたアドオンモジュールとして実装することが可能である。
【００１２】
インターフェース可能な外付け型および埋め込み型医療機器は、埋め込み型医療機器１８、埋め込み型センサ１９、外付け型医療機器２０、または外付け型センサ２１のような能動型治療用または監視機器と、外付け型医療機器２２および外付け型センサ２３のような受動型治療用または監視機器とを含む。これらの治療用および監視機器は、治療を行うか、またはセキュアな配布サーバ１１または類似した機器によって、定量的な生理学的評価指標に処理することができるセンサ読取り値を提供することができる。埋め込み型医療機器１８は、ペースメーカ、埋め込み型除細動器、心臓の再同期機器、薬品供給機器、および神経学的インプラントを含む。埋め込み型センサ１９は、心臓または呼吸モニタ、および姿勢、アクティビティ、または血液の化学的性質のモニタを含む。能動型の外付け型医療機器２０は、自動外付け型細動除去器を含む。能動型の外付け型センサ２１は、ホルターモニタを含む。受動型の外付け型医療機器２２は、ピルディスペンサを含む。最後に、受動型の外付け型センサ２３は、重量計および血圧モニタを含む。能動型および受動型の、他のタイプの埋め込み型医療機器、埋め込み型センサ、外付け型医療機器、および外付け型センサも可能である。
【００１３】
作動的に、セキュアな配布サーバ１１は、患者管理機器１３および１つ以上の関連する医療機器１８〜２３の動作特性の構成カタログを保持する。機器の動作特性は、それぞれの機器から患者管理機器１３によってリクエストされるか、またはそれぞれの機器によって患者管理機器１３に定期的に報告される。構成カタログは、患者管理機器１３と、それぞれの患者１７のためのそれぞれの医療機器との間の一意の関連付けを格納する。一実施形態では、患者管理機器１３は、セキュアな配布サーバによってプログラムコードとして格納された、更新または新しい機能セットを定期的にチェックし、次いで、患者管理機器は、セキュアなパッケージとして、あらゆる修正された、または新しいファームウェアまたはソフトウェアを、セキュアにダウンロードすなわち「プル」する（「更新」と称する）。それぞれのセキュアなパッケージは、デジタル署名される形態で、すなわち別の信頼できるソースによって署名されてセキュアな配布サーバに格納されるか、または特定の患者管理機器のためにセキュアな配布サーバによってデジタル署名されることができる。さらなる一実施形態では、セキュアな配布サーバ１１は、あらゆる修正された、または新しいファームウェアまたはソフトウェアのためのプログラムコードを、当該の更新が利用可能となったときに、オンデマンドまたはインクリメンタルに、患者管理機器１３に送信すなわち「プッシュ」するか、またはその更新を、患者管理機器のような特定のクラスの機器に一方的にブロードキャストすることによって送信する。オンデマンドの更新は、セキュアな配布サーバ１１か、または相互接続ネットワーク１２上の認証されたクライアントまたは類似した機器を経て開始することができる。それぞれの更新パッケージ認証し、その完全性をチェックすると、患者管理機器１３は、その更新されたかまたは新しい機能セットを適切な医療機器にインストールし、インストールに成功すると、セキュアな配布サーバ１１に通知する。さらなる一実施形態では、患者管理機器１３ではなく、医療機器のうちの１つ以上は、インストール前に、それぞれの更新パッケージを認証し、その完全性をチェックする。加えて、セキュアな配布サーバ１１または類似した機器は、患者管理機器１３から格納データを定期的に抽出するが、このデータは１つ以上の関連する医療機器から事前に収集されたものである。以下、医療機器マッピング構成カタログおよび更新パッケージについて説明する。
【００１４】
図２は、一例として、医療機器マッピングを格納するための構成カタログ４０を示すデータ構造図である。構成カタログ４０は、２つの目的を果たす。その１つは、構成カタログ４０は、患者管理機器１３と、ＩＭＤ１８のような特定の医療機器との間の一意の関連付けをマップすることである。もう１つは、構成カタログ４０は、患者管理機器１３と、それぞれの関連する医療機器の両方の動作特性を記録することである。例えば、エントリは、タイプ４１、モデル４２、製造番号４３、およびソフトウェアのリビジョンレベル４４によって医療機器を識別することができる。同様に、同じエントリまたは別個のリンクされたエントリ（図示せず）は、患者管理機器のタイプ４５と、モデル４６と、製造番号４７と、ソフトウェアのリビジョンレベル４８とを含むことができる。他のタイプの構成カタログ、ならびにレコード構造および機構も可能である。
【００１５】
構成カタログ４０内に記録された動作特性は、それぞれの機器および患者管理機器１３のメーカーによって最初に提供することができる。次に、一実施形態では、患者管理機器１３は、それぞれの機器を定期的にポーリングして、現在の動作特性およびそれらの動作特性を判断し、さらに、患者管理機器１３の動作特性がセキュアな配布サーバ１１に報告されて、構成カタログ４０を更新する。さらなる一実施形態では、機器は、それらの動作特性を患者管理機器１３に定期的に報告し、次いで、構成カタログの更新のために、セキュアな配布サーバ１１に報告される。他の形態の構成カタログの更新も可能である。
【００１６】
図３は、一例として、更新された機能セットを提供するための更新パッケージ６０を示すデータ構造図である。更新パッケージ６０は、セキュアな配布サーバ１１によって発生され、患者管理機器または１つ以上の関連する医療機器のための、修正された、または新しい機能セットがセキュアに配布される。さらなる一実施形態では、更新パッケージ６０は、全く分割不可能なセットとしてインストールされるか、または全くインストールされない機能のための、「アトミック」パッチを含むことができる。一実施形態では、それぞれの更新パッケージ６０は、更新リクエストに応えて、患者管理機器１３に提供される。さらなる一実施形態では、それぞれの更新パッケージ６０は、更新された機能が利用可能となったときに、オンデマンドまたはインクリメンタルに、患者管理機器１３に提供されるか、または更新された機能を、患者管理機器のような特定のクラスの機器に一方的にブロードキャストすることによって提供される。他の形態のセキュアな更新パッケージの配布も可能である。
【００１７】
それぞれの更新パッケージ６０は、機器タイプ６１およびモデル６２のような、更新コード６５を適用する機器を識別するヘッダを含む。加えて、ヘッダは、更新前のソフトウェアのリビジョンレベル６３および更新後のソフトウェアのリビジョンレベル６４を識別し、これらは、それぞれ、適用すべき更新のソフトウェアのリビジョンレベルと、更新がインストールされた後に機器がなるソフトウェアのリビジョンレベルを識別する。さらなる一実施形態では、更新前ソフトウェアのリビジョンレベル６３は、ある範囲の更新前のパッチのリビジョンレベルか、または単一の更新前のパッチリビジョンレベルだけを特定し得る。更新パッケージ６０は、デジタル署名された「エンベロープ」（図示せず）、またはセキュアな配布サーバ１１によって確立されたパッケージ内にカプセル化される。更新パッケージ６０は、メーカーのような信頼できるソースによって予めデジタル署名するか、または特定の患者管理機器のために、セキュアな配布サーバによってデジタル署名することができる。一実施形態では、更新パッケージの認証は、公開／秘密鍵ペアベースのデジタル署名のような、非対称暗号化の形態で提供されるが、他のタイプの認証および暗号化も可能である。
【００１８】
図４は、図１のセキュアな配布サーバ１１を示すブロック図である。セキュアな配布サーバ１１は、修正された新たな機能セット７７を、患者管理機器および関連する医療機器にセキュアに配布するための中心部として機能する。セキュアな配布サーバ１１は、セキュアな配布サーバソフトウェアとして定義された、一連のソフトウェアモジュールを実行する。セキュアな配布サーバ１１は、構成カタログ７６とともに、セキュアなストレージ機器７５を介して機能セット７７にアクセスする。この構成カタログは、患者管理機器１３と、特定の患者１７のための、おそらくは複数の医療機器のうちの１つとの間の一意の関連付けをマップする。
【００１９】
セキュアな配布サーバ１１は、リモートにある患者管理機器１３から受信した更新リクエスト８２を処理する更新チェッカおよびベリファイア７１とを含む。さらなる一実施形態では、更新チェッカおよびベリファイア７１は、患者管理機器から、およびさらなる一実施形態では機器から、受信した構成カタログの更新８１を処理して、動作特定を記録する構成カタログ７６を更新する。さらなる一実施形態では、更新チェッカおよびベリファイア７１は、患者管理機器および機器から、構成カタログの更新８１を定期的にリクエストする。同様に、更新リクエスト８２は、医療機器から直接発生させることができる。更新チェッカおよびベリファイア７１は、構成カタログ７６にアクセスして、それぞれの格納された機器構成に対して、修正された、または新しいあらゆる機能セット７７を識別する。セキュアな配布サーバ１１は、認証７２も含むが、認証７２は、あらゆる修正された、または新しい機能セット７７を、セキュアな配布サーバ１１に対して一意の、格納された非対称の秘密鍵７４を使用して、デジタル署名されたパッケージにパッケージ化する。それぞれのパッケージは、信頼できるソースによってすでにデジタル署名されているか、または特定の患者管理機器１３のための非対称秘密鍵７４および非対称公開鍵を使用して、セキュアな配布サーバによってデジタル署名することができる。デジタル署名された機能セットは、次いで、更新パッケージ８４として、リクエスト側の患者管理機器１３に、または、さらなる一実施形態ではリクエスト側の機器に送信される。さらなる一実施形態では、デジタル署名された機能セットは、修正された、または新しい機能セット７７が利用可能になったときに、患者管理機器１３に、またはさらなる一実施形態では機器に、更新パッケージ８４として送信されるか、または、更新された機能を、患者管理機器のような特定のクラスの機器に一方的にブロードキャストすることによって送信する。加えて、更新チェッカおよびベリファイア７１は、リクエスト側の患者管理機器１３から機能セット７７のインストールが成功したことを確認する通知８０を受信し、構成カタログ７６を更新する。更新チェッカおよびベリファイア７１によって行われる動作、および認証７２は、図１０を参照して以下に詳述する。
【００２０】
さらなる一実施形態では、セキュアな配布サーバ１１は、データの抽出、分析、および格納７３も含む。セキュアな配布サーバは、定期的に、データリクエスト８５を１つ以上の患者管理機器１３にセキュアに送信して、患者管理機器が収集したか、または１つ以上の関連付けられた医療機器からの、格納されたデータのデータセット８３のアップロードをリクエストする。データセット８３は、一例として、ペースメーカ、ＩＣＤまたは類似した機器のような埋め込み型医療機器、または心電計、ホルターモニタ、または類似した機器のような外付け型医療機器とともに、あるいは従来の医学的な試験および評価を通じて、収集および処理された個々の患者の生理学的な定量的評価指標、および生活の質の定性的評価指標を含むことができる。また、データセット８３は、１つ以上の病状を分析することができ、関連する文献、共有に係るＢａｒｄｙに対する米国特許第６，３３６，９０３号（２００２年１月８日発行）、Ｂａｒｄｙに対する米国特許第６，３６８，２８４号（２００２年４月９日発行）、Ｂａｒｄｙに対する米国特許第６，３９８，７２８号（２００２年６月２日発行）、Ｂａｒｄｙに対する米国特許第６，４１１，８４０号（２００２年６月２５日発行）、およびＢａｒｄｙに対する米国特許第６，４４０，０６６号（２００２年８月２７日発行）などに記載されており、それらの開示は参照することにより組み込まれる。最後に、データセットは、抽出された機器データ７９として、データベース７８内に格納することができる。データベース７８は、セキュアな配布サーバ１１に直接接続する必要は無く、代わりに、例えば、集中データベースサーバ（図示せず）を介してリモートでアクセスすることができる。
【００２１】
一実施形態では、セキュアな配布サーバ１１は、汎用のサーバグレードのコンピュータであり、セキュアな配布サーバソフトウェアとして定義された一連のソフトウェアモジュールを実行し、例えば、中央処理ユニット（ＣＰＵ）、メモリ、ディスクストレージ、ネットワークインターフェース、ディスプレイ、ＣＤ−ＲＯＭ、キーボード、マウス、およびこれらの要素を相互接続するための種々の構成要素などの、普通にコンピュータで見られる構成要素を有する。
【００２２】
図５Ａおよび図５Ｂは、図１のシステム１０によるエンドツーエンドのセキュアなパッケージ処理１００および１２０を示すルーティング図である。エンドツーエンドの処理には、セキュアな配布サーバおよびリクエスト側の患者管理機器を伴い、これらは、更新パッケージがこれらを通じてセキュアに配信される、ネットワークインフラストラクチャのエンドポイントである。移行の間に、更新パッケージは、「セキュアなデジタルコンテナ」すなわち、更新のソースまたはセキュアな配信サーバのデジタル署名を受けて発生されたパッケージにカプセル化される。
【００２３】
まず図５Ａを参照すると、更新ソース１０２は、更新パッケージ１０１を作成およびデジタル署名し、このパッケージは、署名済み更新１０３としてセキュアな配布サーバ１０４に送信される。セキュアな配布サーバソース１０４は、署名済み更新１０３を格納する前に、受信した署名済み更新１０３を認証し、その完全性をチェックする。リクエストされたときには、セキュアな配布サーバ１０４は、署名済み更新１０３をリクエスト側の患者管理機器１０５に送信し、この機器も同様に、更新１０１を格納またはインストールする前に、受信した署名済み更新１０３を認証し、その完全性をチェックする。さらなる一実施形態では、患者管理機器１０５は、署名済み更新１０３をＩＭＤ１０６に送信し、このＩＭＤも同様に、更新１０１をインストールする前に、受信した署名済み更新１０３を認証し、その完全性をチェックする。
【００２４】
次に図５Ｂを参照すると、更新ソース１２２は、更新パッケージ１２１を作成およびデジタル署名し、このパッケージは、署名済み更新１２３としてセキュアな配布サーバ１２４に送信される。セキュアな配布サーバソース１２４は、署名済み更新１２３を格納する前に、受信した署名済み更新１２３を認証し、その完全性をチェックする。また、セキュアな配布サーバ１２４は、データ１２５を署名済み更新１２３に追加し、組み合わせパッケージ１２６全体をデジタル署名する。リクエストされたときには、セキュアな配布サーバ１２４は、署名済み組み合わせパッケージ１２６をリクエスト側の患者管理機器１２７に送信し、この機器も同様に、更新１２１およびデータ１２５を格納またはインストールする前に、受信した署名済み組み合わせパッケージ１２６を認証し、その完全性をチェックする。さらなる一実施形態では、患者管理機器１２７は、署名済み組み合わせパッケージ１２６をＩＭＤ１２８に送信し、このＩＭＤも同様に、更新１２１およびデータ１２５をインストールする前に、受信した組み合わせパッケージ１２６を認証し、その完全性をチェックする。他の形態のエンドツーエンドのセキュアなパッケージ処理も可能である。
【００２５】
図６は、図１のシステム１０によって行われる構成カタログ更新のダイアログ１５０を示すプロセスフロー図である。一実施形態では、更新カタログの更新ダイアログは、それぞれの患者管理機器１３によって開始され、定期的に１つ以上の関連する医療機器に接続して（動作１５１）、動作特性のたな卸しを行う（ブロック１５２）。動作特性は、次いでセキュアな配布サーバ１１に提供され、構成カタログ７６を更新する（ブロック１５３）。次の定期的な構成カタログの更新時に、再び処理を継続する（動作１５１）。さらなる一実施形態では、それぞれの関連する医療機器は、定期的に患者管理機器に接続し（動作１５１）、類似した一連の動作に続いて、動作特性のたな卸しを行い、構成カタログを更新する。
【００２６】
図７は、図１のシステム１０によって行われるアップロードのダイアログ１６０を示すプロセスフロー図である。一実施形態では、それぞれの患者管理機器１３は、機器のうちの１つ以上に定期的に接続し（動作１６１）、医療機器によって収集されたあらゆる格納データを抽出する（動作１６２）ことによって、１つ以上の関連する医療機器のための集中ハブとして機能する。抽出されたデータは、次いで、分析および格納のために、セキュアな配布サーバ１１または類似した機器に送信される（動作１６３）。このプロセスは、患者管理機器１３による次の定期的な接続時に継続する（動作１６１）。
【００２７】
図８は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのサーバ方法１７０を示す工程図である。本方法の目的は、患者管理機器１３から継続的に受信される更新リクエストを、セキュアな配布サーバ１１において処理することである。さらなる一実施形態では、方法１７０は、患者管理機器１３によって格納されたデータの定期的な抽出も行う。
【００２８】
最初に、暗号鍵が発生される（ブロック１７１）。暗号鍵は、サーバが最初に構成されたときに一度だけ発生される。システムによっては、暗号鍵は、セキュアな配布サーバ１１によって発生させるか、または製造プロセスの一部としてインストールすることができる。いずれの場合も、暗号鍵はセキュアな配布サーバ１１によって永続的に格納され、その後、その暗号鍵を使用して、更新パッケージをデジタル署名し、および、例えば患者管理機器とのセキュアな接続を確立する。セキュアな接続とは、それを通じて、破損させずに、あらゆるサードパーティによりデータのコンテンツを見られることがなく、またデータの送信側または受信側が常に既知であり認証されていることを保証して、データを交換することができる通信経路である。
【００２９】
それぞれの患者管理機器１３および関連する医療機器の最初の機器構成は、構成カタログ７６内に記録される（ブロック１７２）。更新リクエストおよび、さらなる一実施形態では、データ抽出は、次のように連続的に処理される（ブロック１７３〜１７８）。さらなる一実施形態では、図９を参照して以下に詳述するように、格納データは、それぞれの患者管理機器１３から定期的に抽出される（ブロック１７４）。同様に、図１０を参照して以下に詳述するように、患者管理機器１３から受信した更新リクエストが処理される（ブロック１７５）。さらなる実施形態では、それぞれの患者管理機器１３および関連する医療機器の動作特性の更新は、構成カタログの更新リクエストに応えて、または患者管理機器または機器から自然発生した構成カタログの更新に基づいて、セキュアな配布サーバ１１に提供されるときに、構成カタログ７６内に記録される（ブロック１７６）。セキュアな配布サーバ１１は、能動的にデータを抽出しないか、または更新リクエストを処理しないときは、待機モードを継続する（ブロック１７７）か、または他の処理を行う。セキュアな配布サーバ１１が動作を終了するまで処理は継続される（ブロック１７８）。
【００３０】
図９は、図８の方法１７０で使用する定期的にデータを取り出すためのルーチン１９０を示す工程図である。さらなる一実施形態では、セキュアな配布サーバ１１または類似した機器は、それぞれの患者管理機器１３によって収集および格納されたデータを定期的に抽出し、抽出したデータを分析してデータベースに格納する。この定期的なデータ抽出方法は、サーバまたは患者管理機器によって開始することが可能である。
【００３１】
サーバおよび患者管理機器は、セキュアな暗号方法を使用して、ネットワークを通じて互いに接続して互いに認証し（ブロック１９１）、共通の暗号接続鍵を確立し（ブロック１９２）、暗号によって保護されたセキュアな接続を確立する（ブロック１９３）。サーバまたは患者管理機器がデータの交換を必要とするたびに、接続は「セッション」を確立する。単一の接続が確立され、セッション期間中は開いたままとなる。患者管理機器１３によって格納されるあらゆるデータは、サーバによって抽出され、データの完全性がチェックされ、データの移行中に変更が生じなかったことを保証する（ブロック１９４）。データは、データベースに格納され（ブロック１９５）、サーバは、そのデータを削除するように患者管理機器１３に命令する（ブロック１９６）。次いで、図８を参照して上述したように、セキュアな接続が閉じられ（ブロック１９７）、抽出されたデータは、セキュアな配布サーバ１１によってさらに処理する（ブロック１９８）ことができる。
【００３２】
図１０は、図８の方法１７０（ブロック１７５）で使用する更新リクエストを処理するためのルーチン２１０を示す工程図である。このルーチンの目的は、それぞれの患者管理機器１３から受信した更新リクエストを処理することである。
【００３３】
リクエスト側の患者管理機器１３とのセキュアな接続が確立され（ブロック２１１）、更新リクエスト８２が受信される（ブロック２１２）。サーバまたは患者管理機器がデータの交換を必要とするたびに、接続は「セッション」を確立する。単一の接続が確立され、セッション期間中は開いたままとなる。さらなる一実施形態では、データの秘匿性に懸念がなければ、非セキュアな接続を使用することが可能である。構成レポートは、リクエスト側の患者管理機器１３から受信され（ブロック２１３）、構成カタログは、更新のためにチェックされる（ブロック２１４）。ソフトウェアまたはファームウェアのいずれかのプログラムコードが更新されていた場合（ブロック２１４）は、更新パッケージが作成され（ブロック２１５）、セキュアな配布サーバ１１（図４に示す）のデジタル署名７４を使用して、リクエスト側の患者管理機器１３のためにデジタル署名される（ブロック２１６）。さらなる一実施形態では、更新パッケージはすでにデジタル署名され、セキュアな配布サーバ１１は、ストレージ１４から更新パッケージを抽出するだけである。さらなる実施形態では、セキュアな配布サーバ１１は、当該の更新が利用可能となったときに、オンデマンドまたはインクリメンタルに、あらゆる修正された、または新しいファームウェアまたはソフトウェアを、患者管理機器１３に提供するか、またはその更新を、患者管理機器のような特定のクラスの機器に一方的にブロードキャストすることによって提供する。デジタル署名されたパッケージは、リクエスト側の患者管理機器１３に送信されるか、または、さらなる一実施形態では、医療機器のうちの１つ以上に送信され（ブロック２１７）、セキュアな配布サーバ１１は、インストール成功の通知の受信を待つ（ブロック２１８）。成功した場合（ブロック２１９）、構成カタログ７６内の機器構成が更新される（ブロック２２０）。次いで、セキュアな接続が閉じられる（ブロック２２１）。
【００３４】
患者管理機器１３とセキュアな配布サーバ１１との間に影響を及ぼす不具合状態が無い場合は、新しいまたは修正された機能セットおよび確認通知が、信頼性が高いとされる接続を通じて通信される。しかしながら、データの破損または喪失のようなエラー状態は、相互接続ネットワーク１２によって実装されたより下層のネットワークプロトコルによるエラーの検出および補正に加えて、またはその代わりに、エラーの検出および補正機能を相互接続ネットワーク１２に導入することによって処理することができる。例えば、一実施形態では、相互接続ネットワーク１２は、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）のネットワーク通信仕様に基づいており、信頼性の高いメッセージの移送を保証する。他のネットワークの実装も可能である。例えば、ユーザデータグラムプロトコル（ＵＤＰ）をＴＣＰの変わりに用いることが可能であり、保証されたデータ配信を犠牲にして、代わりに上位のプロトコル層に依存して、必要なエラーの検出および補正を提供する。同様に、他のネットワークトポロジおよび機構も可能である。
【００３５】
図１１は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するための方法２３０を示す工程図である。患者管理機器の方法の目的は、それぞれの関連する医療機器、および患者管理機器自体にインストールされたソフトウェアおよびファームウェアのためのプログラムコードを更新することである。さらなる一実施形態では、それぞれの患者管理機器１３は、セキュアな配布サーバ１１または類似した機器による、後の抽出のために、関連する医療機器のそれぞれからデータを収集し、格納する。
【００３６】
ソフトウェアおよびファームウェアのためのプログラムコードは、定期的にアップデートされ、さらなる一実施形態では、以下のように、連続する処理ループ（ブロック２３１〜２３４）で送信されたデータが格納される。ファームウェアおよびソフトウェアのためのプログラムコードは、図１２を参照して以下に詳述するように、定期的にアップデートされる（ブロック２３２）。さらなる一実施形態では、図１３を参照して以下に詳述するように、それぞれの関連する医療機器から収集および格納されたデータは、セキュアな配布サーバ１１または類似した機器に送信される（ブロック２３３）。
【００３７】
図１２は、図１１の方法２３０で使用する定期的な更新を行うためのルーチン２５０を示す工程図である。このルーチンの目的は、それぞれの関連する医療機器の、およびリクエストする患者管理機器１３自体のファームウェアおよびソフトウェアのためのプログラムコードの更新を、定期的にリクエストし、インストールすることである。
【００３８】
セキュアな配布サーバ１１とのセキュアな接続が確立される（ブロック２５１）。サーバまたは患者管理機器がデータの交換を必要とするたびに、接続は「セッション」を確立する。単一の接続が確立され、セッション期間中は開いたままとなる。更新リクエスト８２は、セキュアな配布サーバ１１に定期的に送信される（ブロック２５２）。関連する医療機器およびリクエストする患者管理機器１３のそれぞれの構成レポートが作成され（ブロック２５３）、セキュアな接続を通じてセキュアな配布サーバ１１に送信される（ブロック２５４）。更新パッケージ８４を受信した場合（ブロック２５５）は、パッケージが認証される（ブロック２５６）。別に、更新パッケージを受信しなかった場合（ブロック２５５）は、セキュアな配布サーバ１１とのセキュアな接続が閉じられる（ブロック２６６）。認証が成功した場合（ブロック２５７）は、パッケージの完全性がチェックされる（ブロック２５８）。別に、認証に失敗した場合（ブロック２５７）は、セキュアな配布サーバ１１とのセキュアな接続が閉じられる（ブロック２６６）。完全性が正常であった場合（ブロック２５９）は、パッケージ内に含まれるそれぞれの更新がインストールされる（ブロック２６０）。別に、完全性に異常があった場合（ブロック２５９）は、サーバは、更新リクエストをリトライするように通知される（ブロック２６１）。インストールに成功した場合（ブロック２６２）は、セキュアな配布サーバ１１にその旨が通知され（ブロック２６３）、ソフトウェアまたはファームウェアの交換されたプログラムコードが削除される（ブロック２６４）。別に、インストールに失敗した場合（ブロック２６２）は、サーバには失敗したことが通知される（ブロック２６５）。最後に、セキュアな配布サーバ１１とのセキュアな接続が閉じられる（ブロック２６６）。さらなる一実施形態では、患者管理機器１３ではなく、医療機器のうちの１つ以上は、セキュアな配布サーバ１１とのセキュアな接続を確立し、更新パッケージ８４の受信、認証、その完全性のチェック、およびインストールを行う。さらなる一実施形態では、パッケージ８４は、セキュアな配布サーバ１１から一方的にブロードキャストして、患者管理機器のような特定のクラスの機器を更新することができ、当該のそれぞれの更新は、自動的に、または次の適切な機会にインストールされる。
【００３９】
さらなる実施形態では、患者管理機器は、所定のクラスの機器のための更新を受信および格納することができ、患者管理機器は、以降の転送のために機器と通信し、その後機器がその更新を適用する。
【００４０】
図１３は、図１１の方法２３０で使用する格納データを送信するためのルーチン２７０を示す工程図である。さらなる一実施形態では、このルーチンの目的は、セキュアな配布サーバ１１または類似した機器による後での抽出のために、それぞれの関連する医療機器からデータを収集し、一時的に格納することである。
【００４１】
最初に、それぞれの機器は、次のような処理ループにおいてポーリングされる（ブロック２７１〜２７５）。セキュアな接続は、それぞれの医療機器と定期的に確立される（ブロック２７２）。最後のセキュアな接続以降に格納されたあらゆるデータが抽出され（ブロック２７３）、セキュアな接続が閉じられる（ブロック２７４）。定期的に、セキュアな配布サーバ１１または類似した機器は、患者管理機器１３とのセキュアな接続を確立する（ブロック２７６）。サーバまたは患者管理機器がデータの交換を必要とするたびに、接続は「セッション」を確立する。単一の接続が確立され、セッション期間中は開いたままとなる。患者管理機器１３は、セキュアな配布サーバ１１または類似した機器から抽出リクエストを受信し（ブロック２７６）、抽出されたデータが送信される（ブロック２７８）。最後に、セキュアな配布サーバ１１または類似した機器とのセキュアな接続が閉じられる（ブロック２７９）。
【００４２】
さらなる実施形態では、機器のうちの１つ以上は、一時的に格納されたデータの患者管理機器１３、セキュアな配布サーバ１１、または類似した機器へのアップロードを開始する。機器は、所定のスケジュールに従ってアップロードを開始するか、または受信システムによるポーリングを用いることが可能である。他の形態のデータのアップロードおよび交換も可能であり、プッシュ、プル、およびスケジュールされたデータ交換が含まれる。
【００４３】
本発明は、その好適な実施態様を参照して図と共に記載されているが、本発明の精神と範囲から逸脱することなく、形状および細部における様々な変更が可能であることは、当業者によって理解されよう。
【図面の簡単な説明】
【００４４】
【図１】図１は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのシステムを示す機能ブロック図である。
【図２】図２は、一例として、医療機器マッピングを格納するための構成カタログを示すデータ構造図である。
【図３】図３は、一例として、更新された機能セットを提供するための更新パッケージを示すデータ構造図である。
【図４】図４は、図１のセキュアな配布サーバを示すブロック図である。
【図５Ａ】図５Ａは、図１のシステムによるエンドツーエンドのセキュアなパッケージ処理を示すルーティング図である。
【図５Ｂ】図５Ｂは、図１のシステムによるエンドツーエンドのセキュアなパッケージ処理を示すルーティング図である。
【図６】図６は、図１のシステムによって行われる構成カタログ更新のダイアログを示すプロセスフロー図である。
【図７】図７は、図１のシステムによって行われるアップロードのダイアログを示すプロセスフロー図である。
【図８】図８は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するためのサーバ方法を示す工程図である。
【図９】図９は、図７の方法で使用する定期的にデータを取り出すためのルーチンを示す工程図である。
【図１０−１】図１０は、図７の方法で使用する更新リクエストを処理するためのルーチンを示す工程図である。
【図１０−２】図１０は、図７の方法で使用する更新リクエストを処理するためのルーチンを示す工程図である。
【図１１】図１１は、一実施形態による、セキュアな機能セット配布インフラストラクチャを医療機器管理に提供するための方法を示す工程図である。
【図１２−１】図１２は、図１１の方法で使用する定期的な更新を行うためのルーチンを示す工程図である。
【図１２−２】図１２は、図１１の方法で使用する定期的な更新を行うためのルーチンを示す工程図である。
【図１３】図１３は、図１１の方法で使用する格納データを送信するためのルーチンを示す工程図である。
【特許請求の範囲】
【請求項１】
セキュアな機能セット（７７）の配布インフラストラクチャを医療機器（１８）管理に提供するためのシステム（１０）であって、
医療機器（１８）と、該医療機器（１８）に一時的に接続可能な通信機器（１３）との間でのデータダウンロードのための一意の関連付けマップ（４０）と、
該医療機器（１８）および該通信機器（１３）のうちの少なくとも１つの動作特性（４１〜４８）を含む構成カタログ（７６）と、
ダウンロード可能な機能セット（７７）を格納するデータベース（７５）に対して、該構成カタログ（７６）内に保持された該動作特性（４１〜４８）を定期的にチェックし、変更された動作特性（４１〜４８）を含む１つ以上の機能セット（７７）を配布のために識別する更新チェッカ（７１）であって、該１つ以上の機能セット（７７）は、デジタル署名（１０３）され、該１つ以上の機能セット（７７）は、複数のネットワーク（１２）を通じて該通信機器（１３）に提供される、更新チェッカ（７１）と、
信頼できるソース（１１）で始まり該通信機器（１３）で終わる信頼チェーンを通じて、該１つ以上の機能セット（７７）を認証し、その完全性をチェックするオーセンティケータ（７２）と
を備える、システム（１０）。
【請求項２】
前記信頼できるソース（１１）は、セキュアな配布サーバ（１１）である、請求項１に記載のシステム（１０）。
【請求項３】
前記１つ以上の機能セット（７７）は、ダウンロードリクエストに応えて、前記通信機器（１３）に送信される、請求項１に記載のシステム（１０）。
【請求項４】
前記１つ以上の機能セット（７７）は、セキュアな配布サーバ（１１）から前記通信機器（１３）に、オンデマンドまたはインクリメンタルに送信されるか、または一方的にブロードキャストされる、請求項１に記載のシステム（１０）。
【請求項５】
前記医療機器（１８）および前記通信機器（１３）のうちの少なくとも１つを前記１つ以上の機能セット（７７）で更新（８１）し、更新（８１）の成功に続いて、通知（８０）を前記セキュアな配布サーバ（１１）に送信するインストーラをさらに備える、請求項１に記載のシステム（１０）。
【請求項６】
前記医療機器（１８）のうちの少なくとも１つから前記通信機器（１３）に生理学的評価指標（８３）を定期的に収集し、定期的に受信されるアップロードリクエスト（８２）に応えて、該収集された生理学的評価指標（８３）を提供するコレクタをさらに備える、請求項１に記載のシステム（１０）。
【請求項７】
少なくとも１つのさらなる医療機器（１８）と、該少なくとも１つのさらなる医療機器（１８）に一時的に接続可能な前記通信機器（１３）との間でのデータアップロード（８５）のために関連付けをマップする、さらなるマップ（４０）をさらに備える、請求項１に記載のシステム（１０）。
【請求項８】
複数の医療機器（１８）と、該医療機器（１８）のそれぞれに一時的に接続可能な前記通信機器（１３）との間でのデータダウンロードのために一意の関連付けをマップする、さらなるマップ（４０）をさらに備える、請求項１に記載のシステム（１０）。
【請求項９】
前記１つ以上の機能セット（７７）は、ファームウェアおよびソフトウェア更新（８１）のうちの少なくとも１つを含むプログラムコードを備える、請求項１に記載のシステム（１０）。
【請求項１０】
前記医療機器（１８）は、埋め込み型医療機器（１８）および外付け型医療機器（２０）のうちの少なくとも１つを備える、請求項１に記載のシステム（１０）。
【請求項１１】
前記医療機器（１８）は、ペースメーカ、埋め込み型除細動器、心臓再同期機器、神経学的インプラント、心臓モニタ、呼吸モニタ、自動外付け型細動除去器、ホルターモニタ、ピルディスペンサ、重量計、および血圧モニタのうちの少なくとも１つを含む、請求項１に記載のシステム（１０）。
【請求項１２】
前記医療機器（１８）は、患者通信機器（１３）、リピータ、プログラマ、およびプログラマ／レコーダのうちの少なくとも１つを含む、請求項１に記載のシステム（１０）。
【請求項１３】
セキュアな機能セット（７７）の配布インフラストラクチャを医療機器（１８）管理に提供するための方法（２３０）であって、
医療機器（１８）と、該医療機器（１８）に一時的に接続可能な通信機器（１３）との間でのデータダウンロードのための一意の関連付けをマップ（４０）するステップと、
該医療機器（１８）および該通信機器（１３）のうちの少なくとも１つの動作特性（４１〜４８）を含む構成カタログ（７６）を保持するステップと、
ダウンロード可能な機能セット（７７）を格納するデータベース（７５）に対して、該構成カタログ（７６）内に保持された該動作特性（４１〜４８）を定期的にチェックし、変更された動作特性（４１〜４８）を含む１つ以上の機能セット（７７）を配布のために識別するステップと、
該１つ以上の機能セット（７７）をデジタル署名（１０３）し、該１つ以上の機能セット（７７）を複数のネットワーク（１２）を通じて該通信機器（１３）に提供するステップと、
信頼できるソース（１１）で始まり該通信機器（１３）で終わる信頼チェーンを通じて、該１つ以上の機能セット（７７）を認証（７２）し、その完全性をチェックするステップと
を含む、方法（２３０）。
【請求項１４】
前記信頼できるソース（１１）は、セキュアな配布サーバ（１１）である、請求項１３に記載の方法（２３０）。
【請求項１５】
前記１つ以上の機能セット（７７）を、ダウンロードリクエストに応えて、前記通信機器（１３）に送信するステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項１６】
前記１つ以上の機能セット（７７）を、ダウンロードリクエストに応えて、前記通信機器（１３）に送信するステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項１７】
前記１つ以上の機能セット（７７）を、セキュアな配布サーバ（１１）から前記通信機器（１３）に、オンデマンドまたはインクリメンタルに送信するか、または一方的にブロードキャストするステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項１８】
前記医療機器（１８）および前記通信機器（１３）のうちの少なくとも１つを前記１つ以上の機能セット（７７）で更新（８１）するステップと、更新（８１）の成功に続いて、通知（８０）をセキュアな配布サーバ（１１）から送信するステップとをさらに含む、請求項１３に記載の方法（２３０）。
【請求項１９】
前記医療機器（１８）のうちの少なくとも１つから前記通信機器（１３）に生理学的評価指標（８３）を定期的に収集するステップと、定期的に受信されるアップロードリクエスト（８２）に応えて、該収集された生理学的評価指標（８３）を提供するステップとをさらに含む、請求項１３に記載の方法（２３０）。
【請求項２０】
少なくとも１つのさらなる医療機器（１８）と、該少なくとも１つのさらなる医療機器（１８）に一時的に接続可能な前記通信機器（１３）との間でのデータアップロード（８５）のために関連付けをマップする（４０）ステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項２１】
複数の医療機器（１８）と、該医療機器（１８）のそれぞれに一時的に接続可能な前記通信機器（１３）との間でのデータダウンロードのために一意の関連付けをマップする（４０）ステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項２２】
前記１つ以上の機能セット（７７）は、ファームウェアおよびソフトウェア更新（８１）のうちの少なくとも１つを含むプログラムコードを備える、請求項１３に記載の方法（２３０）。
【請求項２３】
前記医療機器（１８）は、埋め込み型医療機器（１８）および外付け型医療機器（２０）のうちの少なくとも１つを備える、請求項１３に記載の方法（２３０）。
【請求項２４】
前記医療機器（１８）は、ペースメーカ、埋め込み型除細動器、心臓再同期機器、神経学的インプラント、心臓モニタ、呼吸モニタ、自動外付け型細動除去器、ホルターモニタ、ピルディスペンサ、重量計、および血圧モニタのうちの少なくとも１つを含む、請求項１３に記載の方法（２３０）。
【請求項２５】
前記医療機器（１８）は、患者通信機器（１３）、リピータ、プログラマ、およびプログラマ／レコーダのうちの少なくとも１つを含む、請求項１３に記載の方法（２３０）。
【請求項２６】
請求項１３に記載の方法（２３０）を行うためのコードを保持するコンピュータ可読のストレージ媒体（１４）。
【請求項２７】
セキュアな機能セット（７７）の配布インフラストラクチャを医療機器（１８）管理に提供するための装置であって、
医療機器（１８）と、該医療機器（１８）に一時的に接続可能な通信機器（１３）との間でのデータダウンロードのための一意の関連付けをマップ（４０）するための手段と、
該医療機器（１８）および該通信機器（１３）のうちの少なくとも１つの動作特性（４１〜４８）を含む構成カタログ（７６）を保持するための手段と、
ダウンロード可能な機能セット（７７）を格納するデータベース（７５）に対して、該構成カタログ（７６）内に保持された該動作特性（４１〜４８）を定期的にチェックするための手段、および変更された動作特性（４１〜４８）を含む１つ以上の機能セット（７７）を配布のために識別するための手段と、
該１つ以上の機能セット（７７）をデジタル署名（１０３）するための手段、および該１つ以上の機能セット（７７）を複数のネットワーク（１２）を通じて該通信機器（１３）に提供するための手段と、
信頼できるソース（１１）で始まり該通信機器（１３）で終わる信頼チェーンを通じて、該１つ以上の機能セット（７７）を認証（７２）するための手段、およびその完全性をチェックするための手段と
を備える、装置。
【請求項１】
セキュアな機能セット（７７）の配布インフラストラクチャを医療機器（１８）管理に提供するためのシステム（１０）であって、
医療機器（１８）と、該医療機器（１８）に一時的に接続可能な通信機器（１３）との間でのデータダウンロードのための一意の関連付けマップ（４０）と、
該医療機器（１８）および該通信機器（１３）のうちの少なくとも１つの動作特性（４１〜４８）を含む構成カタログ（７６）と、
ダウンロード可能な機能セット（７７）を格納するデータベース（７５）に対して、該構成カタログ（７６）内に保持された該動作特性（４１〜４８）を定期的にチェックし、変更された動作特性（４１〜４８）を含む１つ以上の機能セット（７７）を配布のために識別する更新チェッカ（７１）であって、該１つ以上の機能セット（７７）は、デジタル署名（１０３）され、該１つ以上の機能セット（７７）は、複数のネットワーク（１２）を通じて該通信機器（１３）に提供される、更新チェッカ（７１）と、
信頼できるソース（１１）で始まり該通信機器（１３）で終わる信頼チェーンを通じて、該１つ以上の機能セット（７７）を認証し、その完全性をチェックするオーセンティケータ（７２）と
を備える、システム（１０）。
【請求項２】
前記信頼できるソース（１１）は、セキュアな配布サーバ（１１）である、請求項１に記載のシステム（１０）。
【請求項３】
前記１つ以上の機能セット（７７）は、ダウンロードリクエストに応えて、前記通信機器（１３）に送信される、請求項１に記載のシステム（１０）。
【請求項４】
前記１つ以上の機能セット（７７）は、セキュアな配布サーバ（１１）から前記通信機器（１３）に、オンデマンドまたはインクリメンタルに送信されるか、または一方的にブロードキャストされる、請求項１に記載のシステム（１０）。
【請求項５】
前記医療機器（１８）および前記通信機器（１３）のうちの少なくとも１つを前記１つ以上の機能セット（７７）で更新（８１）し、更新（８１）の成功に続いて、通知（８０）を前記セキュアな配布サーバ（１１）に送信するインストーラをさらに備える、請求項１に記載のシステム（１０）。
【請求項６】
前記医療機器（１８）のうちの少なくとも１つから前記通信機器（１３）に生理学的評価指標（８３）を定期的に収集し、定期的に受信されるアップロードリクエスト（８２）に応えて、該収集された生理学的評価指標（８３）を提供するコレクタをさらに備える、請求項１に記載のシステム（１０）。
【請求項７】
少なくとも１つのさらなる医療機器（１８）と、該少なくとも１つのさらなる医療機器（１８）に一時的に接続可能な前記通信機器（１３）との間でのデータアップロード（８５）のために関連付けをマップする、さらなるマップ（４０）をさらに備える、請求項１に記載のシステム（１０）。
【請求項８】
複数の医療機器（１８）と、該医療機器（１８）のそれぞれに一時的に接続可能な前記通信機器（１３）との間でのデータダウンロードのために一意の関連付けをマップする、さらなるマップ（４０）をさらに備える、請求項１に記載のシステム（１０）。
【請求項９】
前記１つ以上の機能セット（７７）は、ファームウェアおよびソフトウェア更新（８１）のうちの少なくとも１つを含むプログラムコードを備える、請求項１に記載のシステム（１０）。
【請求項１０】
前記医療機器（１８）は、埋め込み型医療機器（１８）および外付け型医療機器（２０）のうちの少なくとも１つを備える、請求項１に記載のシステム（１０）。
【請求項１１】
前記医療機器（１８）は、ペースメーカ、埋め込み型除細動器、心臓再同期機器、神経学的インプラント、心臓モニタ、呼吸モニタ、自動外付け型細動除去器、ホルターモニタ、ピルディスペンサ、重量計、および血圧モニタのうちの少なくとも１つを含む、請求項１に記載のシステム（１０）。
【請求項１２】
前記医療機器（１８）は、患者通信機器（１３）、リピータ、プログラマ、およびプログラマ／レコーダのうちの少なくとも１つを含む、請求項１に記載のシステム（１０）。
【請求項１３】
セキュアな機能セット（７７）の配布インフラストラクチャを医療機器（１８）管理に提供するための方法（２３０）であって、
医療機器（１８）と、該医療機器（１８）に一時的に接続可能な通信機器（１３）との間でのデータダウンロードのための一意の関連付けをマップ（４０）するステップと、
該医療機器（１８）および該通信機器（１３）のうちの少なくとも１つの動作特性（４１〜４８）を含む構成カタログ（７６）を保持するステップと、
ダウンロード可能な機能セット（７７）を格納するデータベース（７５）に対して、該構成カタログ（７６）内に保持された該動作特性（４１〜４８）を定期的にチェックし、変更された動作特性（４１〜４８）を含む１つ以上の機能セット（７７）を配布のために識別するステップと、
該１つ以上の機能セット（７７）をデジタル署名（１０３）し、該１つ以上の機能セット（７７）を複数のネットワーク（１２）を通じて該通信機器（１３）に提供するステップと、
信頼できるソース（１１）で始まり該通信機器（１３）で終わる信頼チェーンを通じて、該１つ以上の機能セット（７７）を認証（７２）し、その完全性をチェックするステップと
を含む、方法（２３０）。
【請求項１４】
前記信頼できるソース（１１）は、セキュアな配布サーバ（１１）である、請求項１３に記載の方法（２３０）。
【請求項１５】
前記１つ以上の機能セット（７７）を、ダウンロードリクエストに応えて、前記通信機器（１３）に送信するステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項１６】
前記１つ以上の機能セット（７７）を、ダウンロードリクエストに応えて、前記通信機器（１３）に送信するステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項１７】
前記１つ以上の機能セット（７７）を、セキュアな配布サーバ（１１）から前記通信機器（１３）に、オンデマンドまたはインクリメンタルに送信するか、または一方的にブロードキャストするステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項１８】
前記医療機器（１８）および前記通信機器（１３）のうちの少なくとも１つを前記１つ以上の機能セット（７７）で更新（８１）するステップと、更新（８１）の成功に続いて、通知（８０）をセキュアな配布サーバ（１１）から送信するステップとをさらに含む、請求項１３に記載の方法（２３０）。
【請求項１９】
前記医療機器（１８）のうちの少なくとも１つから前記通信機器（１３）に生理学的評価指標（８３）を定期的に収集するステップと、定期的に受信されるアップロードリクエスト（８２）に応えて、該収集された生理学的評価指標（８３）を提供するステップとをさらに含む、請求項１３に記載の方法（２３０）。
【請求項２０】
少なくとも１つのさらなる医療機器（１８）と、該少なくとも１つのさらなる医療機器（１８）に一時的に接続可能な前記通信機器（１３）との間でのデータアップロード（８５）のために関連付けをマップする（４０）ステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項２１】
複数の医療機器（１８）と、該医療機器（１８）のそれぞれに一時的に接続可能な前記通信機器（１３）との間でのデータダウンロードのために一意の関連付けをマップする（４０）ステップをさらに含む、請求項１３に記載の方法（２３０）。
【請求項２２】
前記１つ以上の機能セット（７７）は、ファームウェアおよびソフトウェア更新（８１）のうちの少なくとも１つを含むプログラムコードを備える、請求項１３に記載の方法（２３０）。
【請求項２３】
前記医療機器（１８）は、埋め込み型医療機器（１８）および外付け型医療機器（２０）のうちの少なくとも１つを備える、請求項１３に記載の方法（２３０）。
【請求項２４】
前記医療機器（１８）は、ペースメーカ、埋め込み型除細動器、心臓再同期機器、神経学的インプラント、心臓モニタ、呼吸モニタ、自動外付け型細動除去器、ホルターモニタ、ピルディスペンサ、重量計、および血圧モニタのうちの少なくとも１つを含む、請求項１３に記載の方法（２３０）。
【請求項２５】
前記医療機器（１８）は、患者通信機器（１３）、リピータ、プログラマ、およびプログラマ／レコーダのうちの少なくとも１つを含む、請求項１３に記載の方法（２３０）。
【請求項２６】
請求項１３に記載の方法（２３０）を行うためのコードを保持するコンピュータ可読のストレージ媒体（１４）。
【請求項２７】
セキュアな機能セット（７７）の配布インフラストラクチャを医療機器（１８）管理に提供するための装置であって、
医療機器（１８）と、該医療機器（１８）に一時的に接続可能な通信機器（１３）との間でのデータダウンロードのための一意の関連付けをマップ（４０）するための手段と、
該医療機器（１８）および該通信機器（１３）のうちの少なくとも１つの動作特性（４１〜４８）を含む構成カタログ（７６）を保持するための手段と、
ダウンロード可能な機能セット（７７）を格納するデータベース（７５）に対して、該構成カタログ（７６）内に保持された該動作特性（４１〜４８）を定期的にチェックするための手段、および変更された動作特性（４１〜４８）を含む１つ以上の機能セット（７７）を配布のために識別するための手段と、
該１つ以上の機能セット（７７）をデジタル署名（１０３）するための手段、および該１つ以上の機能セット（７７）を複数のネットワーク（１２）を通じて該通信機器（１３）に提供するための手段と、
信頼できるソース（１１）で始まり該通信機器（１３）で終わる信頼チェーンを通じて、該１つ以上の機能セット（７７）を認証（７２）するための手段、およびその完全性をチェックするための手段と
を備える、装置。
【図１】
【図２】
【図３】
【図４】
【図５Ａ】
【図５Ｂ】
【図６】
【図７】
【図８】
【図９】
【図１０−１】
【図１０−２】
【図１１】
【図１２−１】
【図１２−２】
【図１３】
【図２】
【図３】
【図４】
【図５Ａ】
【図５Ｂ】
【図６】
【図７】
【図８】
【図９】
【図１０−１】
【図１０−２】
【図１１】
【図１２−１】
【図１２−２】
【図１３】
【公表番号】特表２００９−５１９１０７（Ｐ２００９−５１９１０７Ａ）
【公表日】平成２１年５月１４日（２００９．５．１４）
【国際特許分類】
【出願番号】特願２００８−５４５７５８（Ｐ２００８−５４５７５８）
【出願日】平成１８年１２月１１日（２００６．１２．１１）
【国際出願番号】ＰＣＴ／ＵＳ２００６／０４７４９３
【国際公開番号】ＷＯ２００７／０７０５５２
【国際公開日】平成１９年６月２１日（２００７．６．２１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（５０５００３５２８）カーディアック ペースメイカーズ， インコーポレイテッド (466)
【Ｆターム（参考）】
【公表日】平成２１年５月１４日（２００９．５．１４）
【国際特許分類】
【出願日】平成１８年１２月１１日（２００６．１２．１１）
【国際出願番号】ＰＣＴ／ＵＳ２００６／０４７４９３
【国際公開番号】ＷＯ２００７／０７０５５２
【国際公開日】平成１９年６月２１日（２００７．６．２１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（５０５００３５２８）カーディアック ペースメイカーズ， インコーポレイテッド (466)
【Ｆターム（参考）】
[ Back to top ]